Is double opt-in verplicht? Regels per land en per tool
De Telecommunicatiewet noemt double opt-in nergens, maar legt de bewijslast wel bij jou: je moet kunnen aantonen dat de ontvanger vooraf toestemming gaf, en volgens de ACM tot vijf jaar na verzending. Ook in Finland, Zweden, Noorwegen, Denemarken en Duitsland eist geen wet double opt-in bij naam. De Duitse privacytoezichthouders verwachten het wel, en de Noorse en Deense toezichthouders raden het aan. Hier vind je per land de bepaling, de eigen formulering van de toezichthouder en hoe zeven e-mailtools de bevestiging regelen.
Double opt-in betekent dat de abonnee zijn aanmelding bevestigt door op een link te klikken in een e-mail die hij na het invullen van het formulier ontvangt. Pas die klik zet hem op de lijst. Voor deze pagina hebben we de wetteksten en de eigen richtlijnen van de toezichthouders zelf gelezen, en bij elke bewering staat een link naar de bron.
Kort antwoord
In Nederland eist de wet geen double opt-in. Artikel 11.7 van de Telecommunicatiewet legt wel de bewijslast bij de verzender: ongevraagde commerciële e-mail is verboden, “tenzij de verzender kan aantonen” dat de ontvanger vooraf toestemming gaf. Hetzelfde geldt in de andere landen op deze pagina: overal is voor e-mailmarketing aan consumenten voorafgaande toestemming nodig, en overal ligt de bewijslast bij de verzender. Double opt-in is in de praktijk de enige manier om achteraf te laten zien dat juist de eigenaar van het adres toestemming gaf, en niet iemand anders met zijn adres. In Duitsland verwachten de toezichthouders het, in Noorwegen en Denemarken raden ze het aan. Zet het aan, zeker als je lijst Nederlandse, Noordse of Duitse abonnees heeft.
Wat de EU-wetgeving eist
De nationale regels hebben dezelfde basis. Volgens artikel 13 van de e-privacyrichtlijn mag e-mail alleen voor direct marketing worden gebruikt bij ontvangers die daar vooraf toestemming voor hebben gegeven. De uitzondering is de bestaande klant van wie het adres bij een verkoop is verkregen: aan hem mag je eigen gelijksoortige producten aanbieden, zolang bezwaar maken eenvoudig en kosteloos is, zowel bij het verzamelen als in elk bericht.
De andere kant komt uit artikel 7, lid 1, van de AVG: als de verwerking op toestemming berust, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene die heeft gegeven. De wet zegt dus wat je moet bewijzen, maar niet hoe. Die vraag beantwoorden de nationale toezichthouders, en ze doen dat verschillend.
Regels per land
| Land | Bepaling | Double opt-in in de richtlijn van de toezichthouder | Zakelijk adres |
|---|---|---|---|
| Nederland | Telecommunicatiewet 11.7 | Niet genoemd; bewijs 5 jaar | Eigen regel (lid 3) |
| Finland | Wet 917/2014, § 200 | Niet genoemd; toestemming achteraf aantonen | Algemeen adres zonder toestemming (§ 202); persoonlijk werkadres vereist toestemming, tenzij de functie ermee samenhangt |
| Zweden | Marknadsföringslag § 19 | Niet genoemd; documenteer hoe en wanneer | Toestemming geldt voor natuurlijke personen; voor rechtspersonen een afmeldadres (§ 20) |
| Noorwegen | Markedsføringsloven § 15 | Aanbevolen (“bør”) | Persoonlijk werkadres vereist toestemming, algemeen adres niet |
| Denemarken | Markedsføringsloven § 10 | Aanbevolen | Altijd toestemming, ook voor een info@-adres |
| Duitsland | UWG § 7 | Verwacht (“geboten”, “notwendig”) | Geldt voor elke ontvanger |
← veeg →
Bronnen per land hieronder gelinkt, gelezen op 24-9-2026. “Niet genoemd” betekent dat we op de pagina van de toezichthouder geen double opt-in vonden, niet dat de toezichthouder het afwijst.
Nederland
Artikel 11.7 van de Telecommunicatiewet schrijft de bewijslast rechtstreeks in de wet: een ongevraagd commercieel bericht is verboden, “tenzij de verzender kan aantonen” dat de ontvanger vooraf toestemming heeft verleend. De ACM schrijft: “U kunt deze toestemming bewijzen tot 5 jaar na verzending.” Je moet de toestemming dus tot vijf jaar na verzending kunnen bewijzen. Double opt-in noemt de ACM niet. Voor zakelijke ontvangers heeft lid 3 een eigen regel: een rechtspersoon of een beroepsbeoefenaar mag je zonder toestemming mailen op een adres dat “voor het ontvangen van ongevraagde communicatie … bestemd en bekendgemaakt” is. De andere voorwaarden voor toestemming en de uitzondering voor bestaande klanten behandelen we in onze gids over e-mailmarketing en de AVG.
Finland
Paragraaf 200 van de Finse wet op elektronische communicatiediensten staat direct marketing per e-mail alleen toe aan natuurlijke personen die daar vooraf toestemming voor hebben gegeven. De Finse privacytoezichthouder voegt eraan toe dat een bedrijf achteraf moet kunnen aantonen dat de persoon toestemming heeft gegeven voor de verwerking van persoonsgegevens voor elektronische direct marketing. Double opt-in noemt de pagina niet.
Zweden
Paragraaf 19 van de Zweedse marketingwet staat e-mailmarketing aan een natuurlijke persoon alleen toe als die vooraf heeft ingestemd. De privacytoezichthouder IMY adviseert vast te leggen hoe en wanneer de toestemming is verkregen en welke informatie de betrokkene kreeg. Double opt-in noemt de richtlijn niet.
Noorwegen
Paragraaf 15 van de Noorse marketingwet verbiedt marketing per e-mail aan natuurlijke personen zonder vooraf gegeven toestemming van de ontvanger. De consumentenautoriteit Forbrukertilsynet zegt in punt 2.6.1 van haar richtlijn dat een ondernemer een double-opt-inmodel “bør” gebruiken, dus zou moeten gebruiken, zodat het verzamelen van toestemming duidelijk is en niemand zich op naam van een ander aanmeldt. In hetzelfde punt citeert de toezichthouder een uitspraak van de rechtbank van Oslo uit 2012: double opt-in is geen eis, maar het bedrijf dat het wegliet, nam een risico met de kwaliteit van zijn toestemmingsregister. De bewijslast ligt volgens de richtlijn bij de ondernemer.
Denemarken
Paragraaf 10 van de Deense marketingwet verbiedt e-mailmarketing aan “nogen”, dus aan wie dan ook, zonder voorafgaande toestemming, en geldt daarmee ook voor bedrijven. De richtlijn van de consumentenombudsman (bijgewerkt op 14-6-2021) raadt een double-opt-inmodel aan en zegt dat alleen een bevestigingsbericht nauwelijks dezelfde bewijswaarde heeft. De richtlijn bevat nog twee punten die de moeite van het vermelden waard zijn. Ten eerste is een e-mail waarin je om toestemming vraagt in Denemarken zelf al marketing, dus naar adressen zonder toestemming kun je geen vraag sturen als “wil je voortaan onze nieuwsbrief ontvangen”. Ten tweede moet het bewijs twee jaar na het laatste gebruik van de toestemming worden bewaard.
Duitsland
Paragraaf 7 van de Duitse wet tegen oneerlijke concurrentie (UWG) beschouwt e-mailreclame altijd als onredelijke hinder als de ontvanger niet vooraf uitdrukkelijk toestemming heeft gegeven. De bepaling geldt voor elke ontvanger, niet alleen voor consumenten. Daarom is Duitsland het strengst; de achtergrond lees je hieronder.
Waarom Duitsland het strengst is
In Duitsland hebben de rechter en de toezichthouders de vraag beslecht. Het federale hof van cassatie (BGH, 10-2-2011, I ZR 164/09) eiste dat de adverteerder de toestemming van elke consument volledig documenteert, wat bij elektronische toestemming betekent dat die wordt opgeslagen en op elk moment kan worden afgedrukt. In dezelfde uitspraak stelde het hof vast dat als een consument zijn aanmelding met een double-opt-inprocedure heeft bevestigd, de toestemming voor e-mailreclame naar dat adres in beginsel voldoende is gedocumenteerd. Het bevestigingsbericht bewijst echter geen toestemming voor telefonische marketing.
De toezichthouders gaan verder. Volgens de gezamenlijke richtlijn over direct marketing van de Duitse privacytoezichthouders (DSK, februari 2022) is de double-opt-inprocedure om elektronisch gegeven toestemming te verifiëren “geboten”, dus nodig, en is alleen het IP-adres opslaan niet genoeg. Volgens de federale privacytoezichthouder is double opt-in “notwendig”, dus onmisbaar, zodra een nieuwsbrief reclame bevat. Voor een Duitse lijst is double opt-in dus in de praktijk verplicht, ook al noemt de wet het niet.
Wat je van de toestemming opslaat
Samengevat uit de richtlijnen van de toezichthouders: het bewijs moet laten zien wie toestemming gaf, wanneer, op welke manier en waarvoor. In de praktijk zijn dat vier dingen:
- Het tijdstip van aanmelding en van bevestiging, allebei apart.
- Het formulier of de pagina waarop de aanmelding is gedaan.
- De toestemmingstekst zoals de abonnee die zag. De richtlijn van IMY noemt de verstrekte informatie apart.
- De inhoud van het bevestigingsbericht, omdat het bewijs volgens het BGH afdrukbaar moet zijn.
Het IP-adres kun je daarnaast opslaan, maar op zichzelf is het niet genoeg: volgens de richtlijn van de DSK is alleen een IP-adres geen bewijs, en het BGH stelde in zijn uitspraak vast dat het IP-nummer niet aan de consumenten kon worden gekoppeld. Hoe lang je bewaart, hangt af van het land. De ACM zegt vijf jaar na verzending, de Deense richtlijn twee jaar na het laatste gebruik.
Double opt-in in zeven e-mailtools
In alle zeven tools die we vergelijken is double opt-in beschikbaar, maar de standaardinstellingen verschillen. In drie ervan staat het standaard uit en moet je het zelf aanzetten.
| Tool | Standaard | Bevestigingsbericht aanpassen | Onbevestigden in de abonneegrens | Tijdstip en IP van bevestiging |
|---|---|---|---|---|
| MailerLite | Aan | Alleen in betaalde abonnementen | Tellen niet mee | Niet vermeld |
| Brevo | Per formulier te kiezen, aanbevolen optie | Ja | Niet vermeld | Tijdstip ja, IP niet vermeld |
| Mailchimp | Uit | Ja | Niet vermeld | Ja, allebei |
| ActiveCampaign | Aan | Ja | Tellen mee bij accounts aangemaakt na 3-11-2025 | Alleen via de API |
| GetResponse | Uit | Onderwerp en tekst | Niet vermeld | Ja, allebei |
| EmailOctopus | Uit | Ja | Tellen niet mee | Niet vermeld |
| Systeme.io | Per formulier, standaard niet vermeld | Ja, op accountniveau | Onbevestigd contact wordt binnen 24 uur verwijderd | Niet vermeld |
← veeg →
Gelezen in de eigen helppagina van elke tool op 24-9-2026. “Niet vermeld” betekent dat we de informatie niet op de helppagina vonden, niet dat de functie ontbreekt.
Twee verschillen raken direct de prijs. Volgens de helppagina’s van MailerLite en EmailOctopus tellen abonnees die op bevestiging wachten niet mee voor de abonneegrens, dus double opt-in kost niets. Volgens de helppagina van ActiveCampaign tellen bij accounts die op of na 3-11-2025 zijn aangemaakt alle contacten mee, ongeacht hun status, dus onbevestigde contacten nemen ruimte op de lijst in tot ze worden verwijderd. Systeme.io verwijdert een onbevestigd contact zelf binnen 24 uur.
Is je lijst Duits, dan moet je bij Mailchimp, GetResponse en EmailOctopus de instelling wijzigen voordat je het eerste formulier publiceert. Wat het opslaan betreft zijn Mailchimp en GetResponse de enige waarvan de helppagina zegt dat ze zowel het tijdstip van bevestiging als het IP-adres bij de gegevens van de abonnee opslaan.
Wat je nu doet
- Zet double opt-in aan op elk aanmeldformulier, ook als de tool standaard een eenstapsaanmelding gebruikt.
- Schrijf het bevestigingsbericht zelf: één zin over wat de abonnee krijgt, en de link. In Denemarken is alleen het bevestigingsverzoek al marketing, dus stuur het niet naar adressen zonder toestemming.
- Bewaar de toestemmingstekst elke keer dat je het formulier wijzigt, en bewaar ook de oude versies.
Ben je nog een tool aan het kiezen, dan toont de hoofdvergelijking van e-mailmarketingtools de prijzen bij drie lijstgroottes, en de vergelijking van gratis e-mailmarketing laat zien waar de grenzen van de gratis versies liggen.